Detectada una nueva técnica para distribuir malware a través de archivos RTF

Recomendados:  Caminando hacia Zero Trust, el modelo de seguridad que se impone en la empresa Evento El papel de la ciberinteligencia en la seguridad empresarial Webinar La hoja de ruta de DevOps en materia de seguridad Leer

La novedad de esta técnica hace que hasta el momento la tasa de detección de archivos infectados por parte de los antivirus sea más baja que las de campañas de phishing que utilizan otras técnicas, como la de inyección de plantillas en Office. Esta, junto con la sencillez de su implementación, podrían ser las razones de su reciente aumento. El uso de documentos RTF para distribuir malware ya se había documentado con anterioridad, pero nunca mediante una técnica tan simple y eficaz.

La inyección de plantillas RTF es una técnica simple. El archivo RTF que se utiliza para engañar al usuario final puede alterarse para que acceda automáticamente al contenido alojado en una URL externa. Alterando la palabra de control de formato del documento, los ciberdelincuentes pueden convertir un archivo RTF en un arma para descargar contenido desde una URL, en lugar de hacer que el documento cargue una plantilla desde un archivo.

Este método es viable tanto en los archivos ‘.rtf’ como en los ‘.doc.rtf’, permitiendo la recuperación exitosa de cargas útiles remotas alojadas en una URL externa. En el caso de los archivos ‘.doc.rtf’, la extensión especifica que el archivo RTF se abrirá utilizando Microsoft Word. Como resultado, cuando se utiliza este programa para abrir un fichero RTF con una plantilla inyectada, la aplicación recuperará el recurso de la URL especificada antes de mostrar el contenido del archivo. Esta técnica tiene éxito incluso aunque la URL insertada no se un archivo de plantilla de documento válido.

Según Proofpoint, el mínimo esfuerzo necesario para convertir en armas los archivos adjuntos RTF antes de desplegarlos en campañas de phishing activas hace prever que su adopción como vector de ataque se acelere poco a poco.

Sus investigadores creen que la viabilidad de los documentos de plantilla remota basados en XML Office ha demostrado que este tipo de mecanismo de entrega es un método duradero y eficaz cuando se combina con el phishing como vector de entrega inicial. La innovación por parte de los actores de amenazas para llevar este método a un nuevo tipo de archivo en RTF representa una superficie de amenaza en expansión para las organizaciones de todo el mundo.

Si bien este método es utilizado actualmente por un número limitado de actores de amenazas avanzadas persistentes, la eficacia de la técnica combinada con su facilidad de uso es probable que impulse su adopción en el panorama de las amenazas. En este sentido, explican que se trata de una técnica preparada para una adopción más amplia en el panorama de las amenazas, más allá de los ataques de phishing, siendo los actores de crimeware los que probablemente la adopten en mayor medida.